English · Ελληνικά
Το «zero trust» είναι η πιο υπερπουλημένη φράση στο networking — αλλά κάτω από το marketing κρύβεται μια γνήσια λογική αρχή: σταμάτα να εμπιστεύεσαι μια συσκευή απλά επειδή είναι στο εσωτερικό. Αυτό είναι το τι σημαίνει πραγματικά το zero trust για ένα δίκτυο, πώς διαφέρει από ένα καλό firewall, και πώς να χαρτογραφήσεις τις αρχές του πάνω στον εξοπλισμό που ήδη τρέχεις αντί για μια πλατφόρμα εξαψήφιου κόστους.
Το παλιό μοντέλο ήταν ένα σκληρό κέλυφος γύρω από ένα μαλακό κέντρο: ένα ισχυρό perimeter, και μέσα του, σιωπηρή εμπιστοσύνη — μόλις είσαι στο LAN, μπορείς να φτάσεις πράγματα. Κάθε σύγχρονη παραβίαση εκμεταλλεύεται ακριβώς αυτό: κάνε phish ένα laptop, και το επίπεδο εσωτερικό αφήνει τον επιτιθέμενο να κινηθεί east-west προς τα πάντα. Το zero trust αναποδογυρίζει την υπόθεση — η τοποθεσία στο δίκτυο δεν χαρίζει καμία εμπιστοσύνη. Κάθε πρόσβαση είναι authenticated, authorised, και ελάχιστη, είτε το request έρχεται από το internet είτε από το γραφείο δίπλα στον server.
Για έναν μηχανικό δικτύων, το zero trust είναι κυρίως identity-driven microsegmentation: ποιος (ή τι) είσαι αποφασίζει τι μπορείς να φτάσεις, επιβεβλημένο όσο πιο κοντά στο endpoint γίνεται, με προεπιλογή το deny. Δεν χρειάζεσαι ένα επώνυμο προϊόν ZTNA για να κινηθείς προς αυτή την κατεύθυνση — οι αρχές χαρτογραφούνται πάνω σε 802.1X, δυναμικά VLANs, λεπτομερή segmentation, και πολιτική default-deny east-west. Αυτό το post χωρίζει την αρχή από τα προϊόντα.
01
Αφαίρεσε το marketing και το zero trust είναι τρεις ιδέες. Όλα τα υπόλοιπα είναι υλοποίηση.
| Αρχη | Τι σημαινει σε ενα δικτυο |
|---|---|
| Ποτέ μην εμπιστεύεσαι την τοποθεσία | Το να είσαι στο LAN δεν χαρίζει τίποτα — κάνε authenticate κάθε συσκευή/χρήστη |
| Least privilege | Κάθε identity φτάνει μόνο ό,τι χρειάζεται, τίποτα παραπάνω· default deny |
| Υπόθεσε παραβίαση | Σχεδίασε ώστε ένα παραβιασμένο endpoint να περιορίζεται — επιβεβαίωνε το east-west, κατέγραφε τα πάντα |
Παρατήρησε ότι αυτά είναι τα ίδια ένστικτα με καλό segmentation και hardening, σπρωγμένα στο συμπέρασμά τους. Το zero trust δεν είναι τόσο μια νέα τεχνολογία όσο μια άρνηση να χαρίσεις εμπιστοσύνη βάσει θέσης στο δίκτυο — γι' αυτό μπορείς να το υιοθετήσεις σταδιακά με εργαλεία που ήδη έχεις.
02
Το παραδοσιακό segmentation περιτειχίζει ζώνες (north-south ανάμεσά τους). Το microsegmentation πάει πιο λεπτομερώς — ελέγχοντας κίνηση μέσα σε μια ζώνη, ακόμα και ανάμεσα σε δύο μηχανές στο ίδιο VLAN.
Οι περισσότερες πραγματικές επιθέσεις, μόλις αποκτήσουν foothold, απλώνονται east-west — μηχανή προς μηχανή μέσα σε ένα segment που το firewall ποτέ δεν επιθεωρεί. Το microsegmentation είναι η απάντηση: πολιτική ανάμεσα σε μεμονωμένα workloads, όχι μόνο ανάμεσα σε μεγάλες ζώνες. Σε κλασικό εξοπλισμό το προσεγγίζεις με περισσότερα, μικρότερα VLANs, private VLANs, client isolation, και host-based firewalls· σε ένα data centre παίρνεις αληθινή πολιτική ανά-workload από ένα fabric ή hypervisor firewall. Ο στόχος είναι ένα παραβιασμένο PC ρεσεψιόν να μην μπορεί ελεύθερα να σαρώσει και να κάνει pivot στα άλλα PC ρεσεψιόν ή τον server — το lateral movement που μετατρέπει ένα phished laptop σε ransomware event δεν έχει πού να πάει.
Κερδίζεις το μεγαλύτερο μέρος του οφέλους χωρίς να αγοράσεις πλατφόρμα: 802.1X ώστε καμία συσκευή να μην μπαίνει σε port χωρίς authenticate (και το RADIUS να αναθέτει το VLAN της βάσει identity)· πολιτική default-deny inter-segment με ελάχιστα ρητά allow· client isolation μέσα σε μη έμπιστα segments· ένα κλειδωμένο management plane ώστε οι ίδιες οι συσκευές δικτύου να μην είναι ο μαλακός στόχος· και logging/flow ώστε το lateral movement να είναι ορατό. Αυτές είναι οι αρχές zero-trust πάνω σε Cisco/MikroTik που ήδη κατέχεις. Ένα προϊόν ZTNA προσθέτει identity-aware application proxying και πιο εκλεπτυσμένη πολιτική — γνήσια χρήσιμο σε κλίμακα, αλλά όχι το εισιτήριο εισόδου.
03
Στο zero trust, το σημείο ελέγχου μετακινείται από «ποιο subnet» σε «ποια identity». Η δουλειά του δικτύου είναι να κάνει authenticate το endpoint και να επιβάλλει μια πολιτική δεμένη με ποιος είναι, όχι πού συνδέθηκε.
Η πρακτική μετατόπιση: μια συσκευή κάνει authenticate (802.1X με πιστοποιητικά για managed συσκευές, MAB ως το απρόθυμο fallback για εκτυπωτές και κάμερες), το RADIUS επιστρέφει όχι απλά «επιτρέπεται» αλλά το VLAN και την πολιτική για αυτή την identity, και το port τοποθετείται ανάλογα. Το laptop ενός εργολάβου προσγειώνεται σε περιορισμένο segment· ο σταθμός εργασίας οικονομικών προσγειώνεται στα οικονομικά· μια άγνωστη συσκευή προσγειώνεται σε quarantine — όλα στο ίδιο φυσικό switch, αποφασισμένα με βάση την identity. Αυτό είναι dynamic segmentation, και είναι το κομμάτι που κάνει το «least privilege by identity» πραγματικό στο network layer αντί για slide. Στηρίζεται εξ ολοκλήρου στα θεμέλια 802.1X και RADIUS/AAA από προηγούμενα posts.
Βασικα Συμπερασματα
Το zero trust δεν απαιτεί να ξηλώσεις αυτό που έχεις. Χτίζω identity-driven, microsegmented δίκτυα με 802.1X, δυναμικά VLANs, και κίνηση default-deny east-west πάνω στον εξοπλισμό που ήδη κατέχεις.
Κλεισε μια Discovery Call →